主题：Nickolas Means：是谁摧毁了三里岛？ -- 万年看客

https://www.youtube.com/watch?v=1xQeXOz0Ncs&t=217s

我小时候我父母给我买过一套大部头丛书，名叫《事物工作原理》。我父亲是个机械工程师，我觉得他之所以送我这套书是因为他被我的问题闹得太烦了，又或者是因为他想训练我自己寻找答案。如今我很少有时间翻阅这套书，但它们依然在我的书架上占据显著位置，因为这套书在很大程度上让我成为了今天这样的人，让我对于稀奇古怪的事故与故事产生了如此强烈的兴趣，并且总想向别人讲述这些故事。

我清楚地记得那是在1990年，有一起事件得到了当地新闻媒体的广泛报道。达拉斯市郊的科曼奇峰一号机组正式并网发电。这是我记忆当中第一次听说核电站。于是我翻开《事物工作原理》第一卷第68页与69页，想要搞清楚核反应堆如何发电。我想我们今天的讲座也不妨以此为切入点。事实上，核电站的基本机制与火电站是一样的，都需要一个热源来烧水。核电站的热源是一个受到精心操控的核反应堆，燃料是铀。火电站的热源则是煤或天然气。高温高压的水在反应堆内部循环流动，将热量传导至热交换器，热交换器将其自身的水烧开成为蒸汽，蒸汽被输送至涡轮机——所谓涡轮机其实就是一面装在粗大管道里的巨型风扇——涡轮机驱动发电机产生电力，然后蒸汽被输送进凝结器冷凝成水，循环再度开始。这就是所谓的压水反应堆。

我刚刚介绍的这套系统具备两套冷却水循环，一回路在反应堆与热交换器之间循环，二回路则在热交换器与涡轮机之间循环。这两套循环相互隔离，两边的水绝不会掺杂在一起。之所以叫做压水反应堆，是因为一回路里的水压保持在2000磅/平方英寸左右。这一点的背后有一个非常简单的原因，即为了省钱：沸水反应堆与其他主要类型反应堆必须修建一个极大的压力容器，因为一回路里的水会沸腾成为蒸汽，必须预留出体积膨胀的空间。而压水反应堆的压力容器则可以小得多，因为水压升高沸点也会升高。压水反应堆一回路里的水可以达到600华氏度而不沸腾——或者说根据设计理应不该沸腾。

时间是1979年3月28日，三里岛核电站是一座处在宾州伦敦德里的双机组核电站。发电站坐落在萨斯奎哈纳河中心一片三英里长的沙洲上，位于宾州首府哈里斯堡以南十英里左右。一号机组是820兆瓦的Babcock&Wilcox压水反应堆，1974年9月2日投入商业运行。3月28日这天该机组已经无事故运行了将近五年，当天正在下线补充核燃料。二号机组也是Babcock&Wilcox压水反应堆，装机能力略大一些，达到了902兆瓦，投入商业运行的时间是1978年12月30日。1979年3月28日的早晨，这台机组才运行了不到三个月的时间。当天早晨，二号机组的输出功率达到了最大功率的97%。用核电行业的行话来说，机组运行情况“又烫又直，一切正常”。

3月28日三里岛核电站夜班监控人员共有四名： 比尔.茨维（Bill Zewe）是一二号机组的主管，也是夜班班组当中级别最高的人；弗莱德.希曼（Fred Schiemann）是专门负责二号机组的现场监理，也是茨维的副手；克雷格.福斯特（Craig Faust）与艾德.弗雷德里克（Ed Fredrick）是监控室操作员。当天凌晨一切正常，反应堆完全按照设计运转，只有一点小问题，发生在冷凝水纯化槽里面，上一班的夜班班组把这点小问题留给了茨维等人处理。三里岛的冷凝水纯化槽由八个过滤罐组成，二回路的水离开冷凝器之后要流经纯化槽，然后才会被导向昂贵精密的蒸汽发电机。当然，现在大家在画面上看到的并不是三里岛的纯化槽，因为想要找到特定核电站的特定机组的特定组件的图片是很不容易的。总之，纯化槽里装满了树脂颗粒，这些颗粒会吸附冷凝水当中一切不是水的东西，例如锈迹或者尘埃。问题在于，当每小时五千吨水通过纯化槽时，很容易将树脂颗粒挤压在一起。当天凌晨夜班人员发现七号纯化槽的颗粒已经将这个纯化槽完全堵塞了。每个过滤罐都装备了反冲洗设施，他们用了一下，效果并不太好。于是他们又向过滤罐里打入了压缩空气。

凌晨3点59分，弗莱德.希曼来到涡轮机房地下室里检查七号过滤罐堵塞情况是否已经缓解。正当他通过七号过滤罐的观察孔向里看去时，突然注意到周围安静了下来。你可以想象，每小时五千吨水经过过滤罐会造成极大的噪音，所以突然降临的安静立刻令他把心提了起来。他立刻后退一步远离了过滤罐，几乎与此同时一股强劲水流冲开了连接全部八个过滤罐的入水管。却原来在过去十个小时里，七号过滤罐的止逆阀漏水了，致使里面的水倒灌进了进气管。在十个小时时间里，水位一路走高，淹没了歧管。歧管负责向全部八个过滤罐的气动阀打气，于是八个过滤罐就在同一时间全部停工了。

为了理解为什么会这样，请看三里岛二号机组结构示意图。可以看到反应堆位于最中间负责发热，两侧是两套蒸汽发生器或者说热交换器。这是核电站的关键部分，因此修建了两组以备冗余。热交换器产生的蒸汽被导入涡轮机房驱动涡轮发电机，蒸汽则得到冷却重新变成水。纯化槽就位于凝结器旁边。纯化槽这一环断开之后，不会再有水流经二回路，因此主给水泵也受到触发自动关闭了。此时距离凌晨4点刚刚过去了36秒钟，根据官方认定，三里岛事故正是从这一刻开始的。

主给水泵自动下线之后两秒钟，涡轮机因为没有蒸汽输入也停转了。这样一来，二回路里面现有的蒸汽就没用了，于是发电站打开主安全阀，将大量蒸汽排放进了凌晨的天空。这些蒸汽没有放射性，但是排气过程的确产生了巨大的噪音，几英里以外都能听见。此时监控室里的克雷格.福斯特与艾德.弗雷德里克接到了表示情况不妙的第一批信号。表示涡轮机下线的警笛响了起来，好几盏警灯明暗闪烁。涡轮机警报触发之后过了几秒，反应堆内部的压力开始急剧攀升。这倒是并不意外。由于二回路里的水流被切断了，一回路里的热量散发不出去。水受热就会膨胀，压力自然也会升高。好消息是，发电站在设计之初就考虑到了眼下的情况。警报刚刚响起，应急机制就自动运行了起来。首先触发的是反应堆的压力控制系统。该系统有两大组成部分，两个部分对于事故的走向都产生了重大影响。

其一是稳压器，其主要职能是稳定压水核反应堆内部的压力。稳压器的结构就像一个巨大的活塞，活塞以上的空间里是蒸汽，以下是液态水。水受热会膨胀，因此当一回路需要增压的时候，就会打开稳压器底部的电热单元为冷却水加温；一回路需要减压的时候，则会打开稳压器顶部的喷淋口注入冷水降温。此外稳压器还需要担当其他几项职能。当初Babcock&Wilcox设计这座核反应堆的时候并没有在反应堆上预留任何观测一回路冷却水水位的手段，因为稳压器位于一回路体系的最高点，只要稳压器里有水，下面的反应堆里也肯定有水。在稳压器上安装监测仪器要比在反应堆上安装监测仪器便宜的多，因为后者要暴露在高度辐射之下。稳压器的第三项职能是吸收压力冲击。蒸汽远比液态水更容易压缩。因此活塞上方空间里的蒸汽就好比一块巨大的垫子，可以在一回路系统压力暴增时提供缓冲，就像眼下的情况一样。

稳压器吸收了一开始的冲击，但是稳压器的设计目的是对压力进行微调，而目前一回路的压力已经达到了2250磅/平方英寸，比起正常运行的最大值还高了100磅/平方英寸左右。稳压器需要几分钟的时间才能将这么大的升幅降下来。那么一回路要怎样应对这么大的压力变化呢？这就需要先导式泄压阀发挥作用了。如果你此前听说过三里岛的故事，大概会记得这个组件，因为各界媒体对于这个组件的报道最充分。倘若发生压力暴增的情况，先导式泄压阀将会打开，将一回路里的冷却水排放进反应堆所在安全壳房的排水池里。涡轮发电机下线后四秒钟，先导式泄压阀打开了。

几秒钟后，计算机察觉到尽管如此反应堆里的压力还是在上升，于是又启动了另一项防护措施，即发动了紧急停堆。核反应堆依靠链式反应产生能量。所谓链式反应就是释放大量中子与铀原子相撞并使其裂变，裂变过程会释放大量热能以及更多的中子去撞击其他铀原子。控制链式反应的方式是将若干根镉质控制棒插进反应堆，吸收中子并使其无法撞击铀原子。所谓紧急停堆就是放开用来升降镉棒的控制机关，使得全部镉棒自由坠落进入反应堆堆芯，这样一来链式反应几乎当场就会停止。但是即便在紧急停堆之后，反应堆堆芯依然会释放衰变余热，紧急停堆之后一个小时内，反应堆堆芯产生的热能相当于停堆之前的6.5%，再过一个小时也有1.5%。因此在停堆后的第一个小时里维持冷却水流动是确保安全的关键。如果衰变余热积累在堆芯内部，将会造成极大的破坏。

几秒种后，监控室控制台上有一盏红灯变成了绿色，表明先导式泄压阀已经关闭了。此时操作员们肯定觉得一切尽在掌握。涡轮机停机并不是经常会发生的情况，因为你肯定希望发电机正常发电。不过停机也并不算紧急事态，应对停机的规章很完善。警笛还在响，警灯还在闪，但是系统的表现依然与设计完全一致。操作员的安全感维持了整整两分钟，然后紧急堆芯冷却系统就自动开启了，尤其是高压注射泵。注射泵以每分钟几千加仑的流量将冷水注入了堆芯。此前操作员还理解究竟发生了什么，现在的情况则超出了他们的理解。他们之所以感到困惑，是因为他们一直在观察稳压器的水位，而水位正在上升，换句话说一回路体系内的水还很充足。因此他们不理解高压注射泵为什么认为一回路体系需要补充冷却水。所以弗莱德.希曼下令关闭高压注射泵，此时注射泵仅仅运行了两分半钟。倘若他并没有这样下令，倘若他对高压注射泵的表现听之任之，这起事故原本仅仅会是一场小故障，两天后发电站就能重新上线。现在距离事故开端已经过去了五分钟。

比尔.茨维此时有一件事很搞不懂：稳压器里的水位在不断攀升，说明一回路里面不缺水，但是一回路的压力却在不断下降。一旦压力下降得太多，水就会沸腾，而沸水是无法冷却核燃料棒的。他凭直觉认为先导式泄压阀或许卡在了打开的位置上，因此才维持不住压力。他再次检查了先导式泄压阀的指示灯，指示灯依然显示关闭。为了复核，他让操作员检查了先导式泄压阀的出水口温度，读数是228华氏度。在比尔.茨维看来这个读数完全正常，于是他就把这事放到了一边。可是他的这项决策其实是有问题的，因为发电站操作手册指出，出水口的温度读数只要高于200华氏度，一定表明先导式泄压阀处于打开状态。在这种情况下应当关闭前置的手动阻断阀，从而阻止冷却水外流。只要比尔.茨维下令关闭手动阻断阀，就能将事故消弭于无形。但是他并没有这么做。现在距离事故开始已经过去了六分钟。

五分钟之后，凌晨4点11分，又有一盏警报响了起来。这项警报表明安全壳房里的集水坑已经装满了。集水坑位于安全壳房最底部，用来收集各处可能漏出来的水。此时先导式泄压阀从一回路当中排出了太多的水，装满了排水槽，溢出的水又流进了集水坑。满溢的集水坑理应告诉夜班人员，一回路体系发生了泄露，但是他们却忽略了这一点。此时堆芯的情况十分危急，但是操作员们并未就此罢休。凌晨5点钟，监控室开始震动起来。一开始的迹象还很细微，但是震动强度很快就达到了无法忽视的地步。原来反应堆的主冷却泵开始颤动，因为堆芯里出现了水蒸气。冷却泵的设计功能仅仅是驱动液态水，水蒸气的出现导致了剧烈的扰动。为了预防硕大昂贵的冷却泵将自身震碎并且加剧冷却水泄露，必须将其关闭。由于担心关闭冷却泵的后果，他们勉强坚持了一段时间。但是15分钟后比尔.茨维实在受不了了，关闭了第一组冷却泵。这一做法取得了暂时的效果，但是30分钟后震动再度加剧了起来，于是他又关闭了另一组冷却泵。此时是凌晨5点44分。这座核反应堆两小时前还在以最大功率的97%运行，现在内部的冷却水循环已经被切断了。

冷却水循环中止的后果很快就彰显了出来。6点钟，也就是事故开始后刚好两小时，安全壳房里的辐射报警器响了起来。这一警报表明了以下问题。首先，至少一根核燃料棒已经遭到了损坏。作为核燃料的铀装在锆质空心棒里面，每一块约有小手指头的尺寸。这样一来，核燃料的放射性就不至于泄露到冷却水里面了。既然安全壳房里侦测到了辐射，那就说明燃料棒正在破裂。其次，既然燃料棒遭到了损坏，那么反应堆容器里的水位几乎一定已经降到了堆芯顶端以下。

此时发电站的领导层得知了发电站的情况。加里.米勒（Gary Miller）是发电站主管，也是三里岛的一把手。乔治.康多（George Condor）是二号机组的技术支持主管，他负责管理所有技术专家，包括核工程师、辐射防护学家与化学家等等。两人随即与Babcock&Wilcox的常驻发电站代表利兰.罗杰斯（Leland Rogers）通了电话。罗杰斯问道：“他们将阻断阀关上了吗？”他指的正是此前比尔.茨维决定不关闭的那个阀门。乔治.康多立刻打电话询问监控室：“阻断阀关上了吗？”几秒钟后他得到回复：“是的，已经关上了。”6点20分，事故开始2小时20分钟之后，阻断阀终于关闭了，一回路漏水的问题终于解决了。假如在事故发生后二十分钟之内就这么做，那么这项处置还是很正确的。但是到了现在才这么做反而导致了局面的进一步恶化。因为现在这个阀门所联通的先导式泄压阀是反应堆容器向外排放热量的唯一渠道，沸腾的冷却水化作蒸汽之后只能从这里排放出去。阻断阀关闭之后，堆芯温度的上升速度立刻极大加快。仅仅用了八分钟，堆芯顶部就崩溃了。

后来的计算表明，在早晨7点钟，堆芯三分之二的高度已经暴露在了冷却水面以上，堆芯最热部位的温度已经达到了400华氏度，这个温度不仅足以熔化锆质燃料棒棒体，就连铀燃料都能熔化。7点20分，安全壳房顶部的核辐射警报也响了起来，读数是每小时800雷姆。倘若某位操作员此时来到这里，只需20秒钟就会遭受到相当于全年最大安全剂量的辐射。在辐射警报第一次响起之后，操作小组基本上不肯承认发电站与堆芯的现状，但是现在的警报绝对非同小可。这项警报响起之后，他们终于决定再次打开高压注水泵，但是仅仅打开了18分钟，因为打开高压注水阀导致稳压器水位上升，而他们的全部注意力都放在了稳压器上面。直到早上8点26分，事故发生4小时26分之后，随着局面不断恶化，他们才再次决定第三次开启高压注水阀。他们之所以这么做主要出于走投无路，不知道到底应该怎么办。直到上午10点30分，每分钟几千加仑的注入水流才再次将堆芯淹没，终止了事故的首要进程。

接下来几天人们一直担心发电站会发生辐射泄漏。他们一方面监测现场情况，一方面派人监测周边地区，还派遣直升机携带辐射探测器飞过了反应堆头顶。万幸的是，发电站的冗余保护措施发挥了作用，并未发生显著的辐射泄漏。有人担心堆芯会发生氢气爆炸，因为包裹燃料棒的锆在熔化后会与冷却水发生反应产生氢气。不过事实证明导致公众恐惧的计算方式有误，实际释放的氢气远没有计算结果那么多。4月1日星期天，事故发生后第四天，吉米.卡特总统携夫人罗莎琳参观了三里岛核电站监控室，希望借此向美国公众保证核电的安全性以及表明三里岛的事态已经得到控制。很快卡特总统就会成立调查委员会并最终得出关于本次事故的调查报告，本次演讲的大部分事实都来源于此。

三里岛发电站二号机组就此彻底报废，五亿美元投资彻底报销，此时距离机组投入运行仅仅过去了三个月。堆芯底部积累了十吨熔化的铀。初步清理的成本达到了十亿美元，自1983年开始耗费了十四年时间。后续清理至今尚未彻底完成。今天三里岛二号机组依然伫立在萨斯奎哈纳河中心。一号机组仍在发电。二号机组的彻底清理直到一号机组退役后才会进行，也就是2034年。

究竟发生了什么呢？为什么这四个人错过了这么多迹象，始终没有意识到他们的反应堆正在损失冷却水呢？为什么他们在紧急冷却系统启动之后一定要将其关闭呢？为什么他们没有早一点关闭阻断阀呢？有一位西德尼.代克（Sidney Dekker）写了一本书，名叫《理解“人为错误”的实地考察》，这本书这本书提出了“第一故事”与“第二故事”的概念。刚才我向大家讲述的三里岛事故经过就是所谓的第一故事，这也是我有意为之的选择。第一故事关注故事里的人，关注他们本应怎么做。第一故事不可避免地将导致后果的责任归咎于牵涉其中的个人以及他们做出的决策。这样做其实很有问题，因为我们都有偏见。首先是后视偏见。当我们在知道结果的情况下回顾某事件时，会不可避免地夸大自己预测与预防结果的能力。后视偏见有时也会被称作“我早就知道”偏见。在三里岛的案例当中，我们往往会觉得：“集水池里这么多水总得从什么地方流出来吧？哪怕我根本不懂核反应堆也知道漏水是什么样子。”其次是结果偏见。一旦你知道了某个事件的结果，在衡量导致这一结果的所有决策时就必然会受到影响。这一偏见会让你针对这些决策的评价变得更加苛刻。我们知道了本次事件的结果是堆芯熔毁，因此在事故之初关闭紧急冷却水循环的决策看上去确实很脑残。

为了避免偏见，我们应该怎么做呢？我们应当将目光转向第二故事。在第一故事的表面以下永远埋藏着第二故事。在第二故事当中，人为错误被视作潜藏在组织深处的系统性弱点产生的效果，而不是单纯的错误决策或者未能遵守指示。那么我们怎样才能看到第二故事呢？我们必须从决策者的角度来审视这些决策；我们必须充分考虑他们在决策时面临的混乱局面，而不能呆在一清二楚的事后结果里面想当然；我们必须假设这些决策者的动机是积极的，牵涉其中的每一个人都根据当时掌握的信息尽力作出了最佳决策。所以让我们来看看三里岛的第二故事究竟是什么吧。

从一开始来看，弗莱德.希曼究竟为什么要在事故开始第五分钟关闭紧急堆芯冷却系统呢？答案在于稳压器。在呈交给总统调查的供述当中，弗莱德.希曼表示他之所以关闭紧急堆芯冷却系统，是因为该系统导致稳压器水位上升，他担心稳压器会“充满”。这个短语在他的陈词当中反复出现了很多次。前面我们提到过，稳压器的功能之一是借助蒸汽吸收压力暴涨，所谓充满就是让稳压器里充满水，以至于没有蒸汽存在的空间，无法吸收压力冲击。那么为什么他对稳压器的关注要优先于他对堆芯安全的关注呢？这个问题的答案可以追溯到美国海军最早利用核反应堆驱动舰船的时候。却原来比尔.茨维、弗莱德.希曼、克雷格.福斯特与艾德.弗雷德里克都曾经是海军的核反应堆操作员。海军上将海曼.李克欧弗（Hyman Rickover）设计的操作规程明确规定，避免稳压器“充满”是核反应堆操作员的首要任务，而且这项要求对于核潜艇来说很合理。

二十世纪六十年代核潜艇反应堆大约能输出12兆瓦的热能。三里岛发电站二号机组需要产生906兆瓦的电能，考虑到系统本身的效率折扣，反应堆必须输出2841兆瓦热能。别忘了，即便在紧急停堆之后，反应堆堆芯依然会释放衰变余热。核潜艇反应堆的衰变余热很少，只有0.78兆瓦，基本可以忽略。假设核潜艇反应堆完全暴露在空气里充分散热，这点热量根本不足以造成任何损害。可是对于发电站的反应堆来说呢？相当于最高功率6.5%的衰变余热足有185兆瓦，如果不能及时散热必然损害堆芯。在核潜艇当中，发生水击作用而没有缓冲是最糟糕的事态，潜艇很可能因此失去驱动力。本着这种心态去操作发电站的核反应堆是一项严重的系统弱点，因为核电站可能发生的最糟糕情况远比水击作用糟糕得多。在三里岛事故之前谁都没有意识到这一点。在弗莱德.希曼看来，稳压器里的水位上涨表明冷却循环系统里面早就装满了水，如果允许紧急堆芯冷却系统继续进行高压注水，就会导致水量过多并且灌满稳压器。为了维护反应堆的安全，他这才关闭了紧急堆芯冷却系统。

那么比尔.茨维在第一次检查先导式泄压阀出水口温度时为什么没有关闭手动阻断阀呢？既然他报告的读数是228华氏度，而发电站操作手册明确指出，出水口的温度读数只要高于200华氏度就应当关闭手动阻断阀，那他为什么不照办呢？却原来二号机组的先导式泄压阀从运行之初就开始漏水。由于漏水量不大，发电站直到第一次补充核燃料之前都不打算修理，所以先导式泄压阀出水口的温度读数几乎每天都高于200华氏度。因此比尔.茨维才会无视操作手册的指示。他对228华氏度这个读数的理解是这样的：先导式泄压阀刚刚排放了大量热水，因此温度高一点也可以理解，平时的读数都在200华氏度上下，现在的228华氏度并不算出格。另外，他在控制台上看到先导式泄压阀的指示灯是绿色的，因此认为阀门已经关上了。但这并不是这盏灯的意思。这盏灯仅仅表明计算机已经将关闭阀门的指令发送了过去，并不能表明阀门目前的物理状态。判断阀门物理状态的唯一方式就是通过出水口温度进行推断。于是比尔.茨维在分析了他掌握的全部信息之后，为了避免稳压器被灌满，决定不关闭阻断阀，这样万一当真发生压力暴涨，先导式泄压阀还能及时发挥作用。换句话说，他之所以决定不关闭阻断阀是为了确保反应堆安全。

最后，值班组员们怎么会连集水坑装满了都没注意到呢？答案很简单，他们根本没有接到警报。三里岛核电站控制室会以两种方式向值班人员发送警报。首先是墙上的指示灯，房间左右各有一排，共计六百多盏灯。平时就算核电站正常运行，也会有四五十盏灯长期亮起，发出刺耳的噪音。此外报警灯的排列也不遵循特定理由。整个系统最重要的一盏报警灯是反应堆压力报警灯，而旁边的另一盏灯则负责提示安全壳房的电梯运行情况。还有，这些报警灯本身体现不出时序性，换句话说你看不出每一盏灯亮起的时间，或者自从你上次检查报警灯以来又亮起了哪些新灯。为了解决这个问题，控制室里有一台报警灯打印机，每次一盏新灯亮起，打印机都会打印一行警报内容。可是打印机与计算机之间只有一条300波特的串行接口，信息传输速度非常慢。事故开始一小时后，足有上百盏报警灯亮起，而打印机需要耗费两个半小时才能将这些报警信息全部打印出来。因此操作员根本应付不了奔涌而来的信息洪流，根本没注意到集水坑已经满了。

既然我们已经知道了第一故事与第二故事的区别，应当怎样将其应用在事故总结当中呢？代克博士提出了以下几条建议。首先，我们分析任何事故的时候都应当明确一条基本共识，即人为错误永远都不是导致事故的根本原因，而是深层系统性问题的表面症状。将一切责任归咎于人为错误只会妨碍我们对问题根源进行纠正，所以建设性的谈话方式应当是“问题出在哪里”而不是“问题出在谁身上”。其次，要理解当事人的决策理由。没有人会存心将自己的任务搞砸，倘若他们做出了你不理解的决策，背后很可能存在很有道理的缘由。要花一点时间从他们的视角来看待事物。第三，要向前追责，不要向后追责。我们在事情出错时的本能反应往往是追究与惩罚责任人。当我们试图推动一个组织寻找第二故事的时候，最常见的反对意见之一就是“那还怎么问责啊？”实际上，消除惩罚因素反而能促使当事人们开诚布公地提供第一手信息，从而使得他们的经验能够得到他人的学习而不至于遭到忽视。

此外还有一个极少有人谈论但同样重要的方面。对于用心确实良好的当事人们来说，讲述事件经过并且承认错误这一行为本身就是足以令他们得到改善的问责措施。他们早就因为自己的决定导致事故而痛苦不堪了，他们不需要背负系统性的责备、惩罚与耻辱。责备、惩罚与耻辱不会给任何人带来任何好处，只会促使当事人不说实话。向后追责旨在为了已经过去的事件寻找可以责备的人，向前追责旨在促使人们说实话并且关注进一步改进提高所需要付出的努力。

这一做法的妙处在于应用范围极其广泛。倘若某人未能完成生产指标，倘若你的团队错过了重要的截止线，倘若关键的团队成员决定离职，倘若销售数据未能达到季度目标，都能用得上这一做法。这样做需要诚实与构建互信，但这一切都是值得的，因为寻找第二故事是帮助你的团队成长壮大的有力手段，也能让你的团队成员得到他们理应获得的人性化对待，从而营造心理安全的环境。

事实上，“是谁摧毁了三里岛”这个问题问得并不公道。我们真正应该问的问题是“是什么摧毁了三里岛”。万幸的是，卡特总统的调查委员会问得正是这个问题。他们提交的调查报告的副标题写道：“变革的需求：三里岛的遗产”。这份报告充满了第二故事，这些故事揭露了反应堆的设计缺陷与全世界核工业当中操作员训练规程的疏漏。越过了人为错误之后，总统委员会指明了三里岛事故的根源，也让这世界成为了一个更安全的地方。如果你愿意抽时间为一切坏事寻找一下第二故事而不是一味发泄怒火，那么你的组织对于所有员工来说都将变得更加安全，你也能解决影响业务效率与质量的因素。祝大家好运。

• 参考是谁摧毁了三里岛？